在 Immunity Debugger 中保存标签和注释

逆向工程 免疫调试器
2021-06-27 11:25:59

我正在使用 Immunity Dbg v1.85(迄今为止的最新版本)。我花了大约一个小时来分析一段恶意软件,同时发表评论并将函数从 X.00402AC0 之类的东西重新标记为 X.password_checker 之类的更有用的东西。在修补恶意软件以跳过密码检查器功能(复制到可执行文件 > 所有修改)并将其保存到一个新文件后,在调试器中打开修补版本后,我看到所有评论和标签更改都消失了。

有趣的是,当您终止调试器然后重新打开原始未修补的可执行文件时,注释和标签仍然存在。只有当您将二进制修改保存到新文件时,它们才会丢失。不用说,在处理需要修补和共享的复杂二进制文件时,这是一个巨大的不便。

有什么方法可以将标签和注释的更改保存到 Immunity 中的新可执行文件中吗?

2个回答

为了保留上述OpenRCE 论坛主题中的信息,我在此处粘贴了相关信息:

OllyDbg v1.10 丢弃 .UDD 数据的其他原因是:

1) 文件路径名的更改,例如 xxx.exe 从“c:\xxx.exe”移动到“c:\new\xxx.exe”。

您可以设置“忽略路径和扩展名”选项来绕过此检查。

2) 文件的 LastWrite 时间发生了变化。

您可以设置“忽略时间戳”选项来绕过此检查。

3)自上次会话以来,代码段的 CRC 发生了变化。

您可以设置“忽略代码部分的 CRC”选项来绕过此检查。

我认为你有案例3。